Katalog podatności CVE

Snipe-IT przed wersją 8.5.0 zawiera podatność powtórzenia asercji SAML, która pozwala atakującym na ponowne użycie przechwyconych asercji poprzez wykorzystanie nieatomowego sprawdzania nonce w obsłudze SAML acs. Atakujący mogą wysłać równoległe żądania POST do /saml/acs z jedną przechwyconą asercją, aby uzyskać wiele uwierzytelnionych sesji ofiary.

Snipe-IT przed wersją 8.6.3 zawiera obejście uwierzytelniania w GoogleAuthController::handleGoogleCallback, które loguje użytkownika o nazwie zgodnej z adresem e-mail konta Google bez wymuszania flagi aktywacji. Dezaktywowani użytkownicy z nazwami w formie e-mail i aktywnymi tożsamościami Google mogą zalogować się przez Google SSO i odzyskać sesje na pierwotnym poziomie uprawnień, w tym administratora.

Rclone przed wersją 1.75.2 zawiera podatność path traversal w serve webdav, która pozwala nieuwierzytelnionym atakującym zapisywać poza udostępnionym katalogiem głównym poprzez wysłanie niezwalidowanego komponentu ścieżki '..'. Atakujący mogą wysłać MKCOL /.., aby utworzyć węzeł VFS, a następnie PUT, MOVE, COPY lub MKCOL, aby tworzyć, nadpisywać lub usuwać pliki innych dzierżawców.

rclone od wersji 1.55.0 przed 1.75.2 zawiera obejście weryfikacji podpisu w stable selfupdate, które ufa sumom kontrolnym z niepodpisanych bajtów poprzedzających blok SHA256SUMS podpisany przez PGP. Atakujący kontrolujący ścieżkę dystrybucji wydania może poprzedzić niepodpisaną linię sumy kontrolnej pasującą do złośliwego archiwum, powodując instalację kontrolowanego przez atakującego pliku rclone.

phpMyFAQ przed wersją 4.1.10 zawiera podatność obejścia autoryzacji na poziomie obiektu, która pozwala nieuwierzytelnionym atakującym modyfikować lub usuwać dowolne pytania odwiedzających poprzez podanie dowolnego openQuestionID do POST /api/faq/create. Atakujący rozwiązujący CAPTCHA mogą przepisywać kategorie pytań, fałszować wpisy odpowiedzi w faqquestion_history lub trwale usuwać pytania.

vLLM od wersji 0.8.5 przed 0.31.0 zawiera podatność odmowy usługi. LogprobsTensors.empty_cpu() w vllm/v1/outputs.py alokuje niezainicjalizowany tensor int32, a runner modelu V1 pozostawia pozycje promptu raportowane jako obliczone przez łącznik KV jako niezapisane. Klient współdzielący silnik może wysłać prompt_logprobs (lub echo z logprobs) przeciwko prefiksowi buforowanemu przez łącznik, powodując wyjątek OverflowError w dekoderze tokenizera, który crashuje EngineCore i odrzuca wszystkie żądania współdzierżawców.

vLLM w wersjach od 0.18.0 przed 0.31.0 zawiera podatność na wyczerpanie zasobów, która pozwala klientom API obejść limit liczby klatek wideo/JPEG poprzez nadpisanie num_frames w media_io_kwargs. Atakujący może ustawić num_frames na -1 z dużym wideo inline, co powoduje dekodowanie każdej klatki przez VideoMediaIO.load_base64, wyczerpanie pamięci i awarię frontendu API.

vLLM w wersjach od 0.10.2 przed 0.25.0 zawiera podatność na niekontrolowane zużycie zasobów, która pozwala nieuwierzytelnionym atakującym wyczerpać pamięć, ponieważ procesory Nemotron-VL globalnie ustawiają Image.MAX_IMAGE_PIXELS na None. Atakujący może przesłać obraz typu bomba dekompresyjna do /v1/chat/completions, co powoduje zabicie procesu roboczego przez OOM i odmowę usługi dla współlokatorów.

vLLM w wersjach od 0.9.2 przed 0.24.0 zawiera podatność typu server-side request forgery, która pozwala wywołującym API wymusić połączenia wychodzące poprzez osadzenie adresu dekodowania w nagłówku X-Request-Id. Atakujący może zmusić proces roboczy P2pNcclConnector prefill do połączenia ZMQ z hostem atakującego, wyciekając unikalny identyfikator NCCL i tensory KV-cache lub blokując proces roboczy.

Parse Server w wersjach przed 8.6.101 oraz od 9.0.0 przed 9.10.4-alpha.4 zawiera podatność na brak autoryzacji w wdrożeniach MongoDB, która pozwala klientom bez klucza głównego usuwać przechowywany schemat dowolnej klasy. Nieuwierzytelnieni atakujący mogą wysyłać żądania usunięcia przez REST API do wewnętrznej kolekcji _SCHEMA, aby usunąć definicje pól, uprawnienia na poziomie klasy i pola chronione, narażając dane na nieautoryzowany odczyt i modyfikację.

Parse Server w wersjach przed 8.6.102 oraz od 9.0.0 przed 9.10.5-alpha.2 zawiera obejście uwierzytelniania, ponieważ metody validateSetUp, validateLogin i validateUpdate niestandardowych adapterów dziedziczących po AuthAdapter nigdy nie są wywoływane, a zamiast tego używana jest odziedziczona domyślna implementacja akceptująca dowolne authData. Atakujący mogą dostarczyć dowolne authData, aby zarejestrować się, połączyć tożsamości, zalogować się jako istniejący użytkownicy lub pominąć niestandardowe dodatkowe czynniki uwierzytelniania.

ImageMagick w wersjach przed 6.9.13-58 oraz 7.x przed 7.1.2-33 zawiera przepełnienie bufora na stosie podczas obsługi obrazów skompresowanych bzip2. Atakujący może dostarczyć spreparowany obraz używający kompresji bzip2, aby nadpisać pamięć stosu podczas dekodowania, powodując awarie lub uszkodzenie pamięci.

Dokploy do wersji 0.30.10 zawiera lukę w autoryzacji, która pozwala właścicielom lub administratorom dowolnej organizacji kontrolować aplikacje innych najemców poprzez podanie obcych wartości applicationId. Atakujący mogą wywoływać procedury takie jak saveEnvironment, updateTraefikConfig, deploy lub stop, aby nadpisywać zmienne środowiskowe i sekrety budowania, przekierowywać źródła i zakłócać działanie aplikacji innych najemców.

Paisa przed wersją 0.7.8 zawiera lukę path traversal w handlerach GetFile, GetSheet, DeleteBackups i DeleteSheetBackups, która pozwala nieuwierzytelnionym atakującym czytać pliki i usuwać kopie zapasowe poprzez sekwencje ../ w nazwach plików. Atakujący mogą wysyłać spreparowane nazwy do endpointów editor file i delete_backups, aby odczytać dowolny plik dostępny dla serwera i usunąć pliki kopii zapasowych poza katalogiem journal lub sheets.

W systemie Employee Recruitment System (krupalshah) w pliku /source/registerform3.php wykryto podatność SQL Injection. Manipulacja argumentem pemail pozwala na zdalne wykonanie ataku, a publiczny exploit jest już dostępny. Produkt nie jest już wspierany przez maintainera, a dostawca nie odpowiedział na zgłoszenie.

W systemie EmployeeRecruitmentSystem (krupalshah) w pliku /source/registerform2.php, w funkcji mysql_query, wykryto podatność SQL Injection. Manipulacja argumentami university/institute/branch/degree/status/cpi/semester/experience umożliwia zdalny atak, a exploit został publicznie ujawniony. Produkt nie jest już wspierany, a dostawca nie odpowiedział na zgłoszenie.

Wykryto podatność SQL injection w systemie EmployeeRecruitmentSystem (krupalshah) w pliku /source/registerform1.php, w funkcji mysql_query. Manipulacja argumentami firstname, middlename, lastname, gender, birthdate, state, statespecify, city i cityspecify pozwala na wstrzyknięcie SQL. Exploit jest publicznie dostępny, a atak można przeprowadzić zdalnie.

Wtyczka WordPress Duplicator przed wersją 5.0.0 nie ogranicza procedury aktualizacji jednym kliknięciem do użytkowników uprawnionych do instalacji wtyczek oraz udostępnia tę procedurę bez uwierzytelnienia. Administrator podrzędnej witryny multisite, który nie jest administratorem sieci, może zainstalować i uruchomić dowolny kod PHP w katalogu współdzielonym sieci.

Wykryto podatność w projekcie YunaiV/zhijiantianya ruoyi-vue-pro do wersji 2026.09. Nieznana funkcja w pliku AuthController.java, obsługująca weryfikację kodu SMS, niewłaściwie przetwarza argumenty mobile/code, co prowadzi do nieprawidłowego uwierzytelnienia. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Wykryto lukę bezpieczeństwa w Zylon PrivateGPT w wersjach 1.0.0 i 1.0.1. Podatność dotyczy funkcji load_file_from_uri w pliku private_gpt/server/ingest/uri_loader.py (komponent URI Artifact Loader) i polega na manipulacji argumentem Value, co prowadzi do podatności SSRF (server-side request forgery). Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.